naročnik sprašuje, ali smo zavarovani proti škodi iz kibernetske varnosti

Kibernetska zavarovalnica sama po sebi ni ukrep NIS2

Kibernetska zavarovalnica ni na seznamu člena 2 članka 21 Direktive NIS2. Deset ukrepov iz tega članka se nanašajo na analizo tveganja, obravnavanje incidentov, kontinuiteto poslovanja, varnost verige, politiko dostopa in podobno — zavarovalnica ni varnostni ukrep, temveč način za pokrivanje finančne preostale škode. Vprašanje pa se pogosto pojavi v vprašalnikih strank in zavarovalcev samih, ker polica nekaj pravi o tem, kako zrel je podjetje pri ravnanju s tveganji. V ISO/IEC 27001 vidite enako: Prilog A ne vsebuje kontrolnega ukrepa »zavarovanje«, temveč obravnavanje tveganja — pri čemer je zavarovanje priznana oblika skupaj z zmanjšanjem, izogibanjem in sprejetjem — je pa del sistema upravljanja.

Torej, ali moraš biti zavarovan, ni odvisno od samih desetih ukrepov, temveč od tega, kaj želi tvoja stranka o tem v praksi vedeti: imaš finančno zavarovanje, če kaj gre narobe, ali je predvsem glavnica urejena? Ti dve vprašanji se v večini seznamov postavljata ločeno. Prepoznaj vzorec: če je vprašanje v bloku upravljanja tveganj, se pogosto prosi po utemeljitvi v pravilnik za analizo tveganja in varnost informacijskih sistemov. Če je vprašanje oddeleno, kot ločena postavka o finančni odpornosti, zadostuje dejansko odgovor o sami polici — če je nimaš, je »ne« pravi odgovor, čeprav se to počuti kot pomanjkanje.

Izvor: člen 21(2) in Annex A

Člen 21 člen 2 Direktive NIS2 izčrpno navaja deset obveznih ukrepov; zavarovalnica ni med njimi, tudi ne implicitno pod kontinuiteto — to se nanaša na varnostne kopije in nujni ukrepi za obnovitev storitve, ne o finančni nadomestilu naknadno. V Dodatku A k ISO/IEC 27001 je obravnavanje tveganja eksplicitni del sistema upravljanja, zavarovanje pa je v tem okviru priznan ukrep ob tehnični in organizacijski ukrepi. Zakon o kibernetski varnosti, ki prenaša NIS2 v Slovenijo in začne veljati 15. avgusta 2026, ponavlja deset ukrepov iz direktive brez dodajanja obveznosti zavarovanja.